Virtualization Lý thuyết: Cấu hình Standard Switches, Distributed Switches và các chính sách mạng (Security, Traffic Shaping, NIC Teaming)

MỤC LỤC​

1. Tổng quan về mạng ảo trong vSphere
2. Kiến trúc các thành phần mạng
3. Standard Switch (vSphere Standard Switch)
4. Distributed Switch (vSphere Distributed Switch)
5. Chính sách Security
6. Chính sách Traffic Shaping
7. Chính sách NIC Teaming và Failover
8. VMkernel Network và các loại lưu lượng
9. Thiết kế và quy trình cấu hình
10. Xử lý sự cố mạng
11. Checklist nghiệm thu và kết luận

1. Tổng quan về mạng ảo trong vSphere​

Mạng ảo trong vSphere kết nối máy ảo và các dịch vụ của ESXi với mạng vật lý. Mỗi VM sử dụng một vNIC; vNIC nối vào Port Group; Port Group nằm trên Standard Switch hoặc Distributed Switch; switch ảo sử dụng vmnic để đi ra switch vật lý.
VM -> vNIC -> Port Group -> vSwitch/vDS -> vmnic -> Switch vật lý -> Gateway
Một thiết kế mạng tốt phải trả lời được bốn câu hỏi: lưu lượng nào đang đi qua mạng, VLAN nào được sử dụng, đường uplink nào chịu trách nhiệm và chính sách nào được áp dụng tại Port Group.

Mục tiêu bài học​

· Phân biệt Standard Switch và Distributed Switch.
· Tạo và cấu hình Port Group cho VM và VMkernel.
· Hiểu các chính sách Security: Promiscuous Mode, MAC Address Changes và Forged Transmits.
· Thiết lập giới hạn Traffic Shaping theo yêu cầu của ứng dụng.
· Thiết kế NIC Teaming để tăng khả năng dự phòng và phân tải.
· Kiểm tra đường đi của lưu lượng và xử lý các lỗi VLAN, uplink, MTU và failover.

1.1 Nền tảng Ethernet, VLAN và broadcast domain​

Mỗi Port Group đưa VM vào một miền mạng logic. VLAN tách các broadcast domain trên switch vật lý; gateway ở lớp 3 chịu trách nhiệm chuyển tiếp giữa các VLAN. Khi một VM không liên lạc được, cần phân biệt lỗi ở lớp 2 (VLAN, MAC, trunk, uplink) với lỗi ở lớp 3 (IP, subnet, gateway, routing).
Access port mang một VLAN; trunk port mang nhiều VLAN và thường dùng cho uplink ESXi. VLAN ID trên Port Group phải khớp với danh sách VLAN được phép trên trunk. Native VLAN không nhất quán có thể làm frame đi sai miền mạng.

1.2 Mức độ cấu hình từ cơ bản đến nâng cao​

Mức cơ bản dùng Standard Switch, một Port Group và một uplink. Mức trung gian thêm VLAN, hai uplink, VMkernel riêng cho vMotion hoặc storage. Mức nâng cao dùng vDS, LACP, NIOC, health check, port mirroring, NetFlow và các chính sách tách biệt theo loại lưu lượng.

2. Kiến trúc các thành phần mạng​

2.1 Các thành phần chính​

2.2 VLAN và đường đi của gói tin​

VLAN thường được xác định tại Port Group và phải khớp với cấu hình trunk hoặc access trên switch vật lý. Với VLAN thường, Port Group gắn một VLAN ID; với VLAN trunk, có thể dùng VLAN 4095 trong trường hợp phù hợp với thiết kế và yêu cầu của hệ thống.
VM VLAN 20 -> PG-Server-VLAN20 -> uplink trunk -> switch vật lý -> gateway VLAN 20
MTU của vSwitch, vmkernel, vmnic và switch vật lý phải thống nhất khi dùng Jumbo Frame. Chỉ bật MTU lớn hơn 1500 khi toàn bộ đường đi đã được kiểm tra.

2.3 Mô hình đường đi của gói tin​

Gói tin từ VM đi qua vNIC, Port Group, cổng logic của vSwitch, uplink vmnic, cổng trunk trên switch vật lý và cuối cùng đến gateway hoặc máy đích. Mỗi điểm có thể thay đổi VLAN tag, áp policy hoặc loại bỏ frame.
Khi phân tích sự cố, hãy vẽ đường đi theo từng chặng và ghi lại: VLAN, MTU, MAC nguồn/đích, IP nguồn/đích, uplink đang dùng và chính sách tại Port Group.

3. Standard Switch (vSphere Standard Switch)​

Standard Switch được cấu hình riêng trên từng ESXi host. Đây là lựa chọn phù hợp cho môi trường nhỏ, lab hoặc mạng quản trị đơn giản. Vì cấu hình không tự đồng bộ giữa các host, người quản trị phải duy trì tên Port Group, VLAN và chính sách nhất quán bằng quy trình hoặc công cụ tự động hóa.

3.1 Cấu trúc Standard Switch​

vSwitch0
├─ Port Group: Management Network -> vmk0
├─ Port Group: VM Network VLAN 20 -> vNIC của VM
└─ Uplinks: vmnic0, vmnic1

3.2 Khi nào nên dùng Standard Switch​

· Lab một hoặc vài host, yêu cầu cấu hình đơn giản.
· Host độc lập hoặc môi trường chưa có vCenter.
· Management Network cần được dựng trước khi vCenter sẵn sàng.
· Mạng ít Port Group và thay đổi không thường xuyên.
Hạn chế chính là cấu hình giữa các host dễ bị lệch. Khi VM di chuyển sang host khác, Port Group tương ứng phải tồn tại với cùng VLAN và chính sách cần thiết.

3.3 Cấu hình nâng cao trên Standard Switch​

Standard Switch có thể dùng NIC Teaming, VLAN trunk, MTU lớn và các chính sách Security/Traffic Shaping tại Port Group. Tuy nhiên cấu hình được lưu theo từng host; mọi thay đổi phải lặp lại hoặc tự động hóa trên các host còn lại.
Beacon probing gửi frame kiểm tra qua các uplink để phát hiện lỗi mà Link Status không nhìn thấy. Không nên bật beacon probing tùy tiện trên mọi thiết kế; cần kiểm tra khuyến nghị của VMware và cấu hình switch vật lý trước khi sử dụng.
VMware hỗ trợ nhiều kiểu lựa chọn uplink. Route based on originating port thường là lựa chọn an toàn cho thiết kế không dùng EtherChannel; IP hash chỉ dùng khi switch vật lý và vSphere cùng cấu hình port channel.

4. Distributed Switch (vSphere Distributed Switch)​

Distributed Switch được tạo và quản lý trong vCenter. Cấu hình Port Group nằm trên vDS có thể áp dụng cho nhiều host, giúp tên mạng, VLAN, uplink và chính sách được đồng nhất. vDS phù hợp với cluster, vMotion, DRS, HA và môi trường có nhiều host.

4.1 Các thành phần của vDS​

vCenter
└─ vDS: DS-Production
├─ Distributed Port Group: DPG-VM-VLAN20
├─ Distributed Port Group: DPG-vMotion
└─ Hosts: ESXi-01, ESXi-02, ESXi-03

4.2 Ưu điểm và điều kiện sử dụng​

· Quản lý Port Group tập trung, giảm sai khác giữa các host.
· Hỗ trợ nhiều tính năng nâng cao như LACP, NIOC, port mirroring và quản lý traffic chi tiết.
· Phù hợp khi có nhiều host và cần di chuyển VM thường xuyên.
· Phụ thuộc vào vCenter, license và kế hoạch backup cấu hình network.

4.3 Tính năng nâng cao của Distributed Switch​

Network I/O Control (NIOC) cho phép đặt mức ưu tiên hoặc reservation cho nhóm traffic như Management, vMotion, vSAN và VM. NIOC hữu ích khi nhiều loại lưu lượng dùng chung uplink, nhưng cần dựa trên số liệu thực tế thay vì đặt ngưỡng tùy ý.
LACP dùng để tạo Link Aggregation Group giữa vDS và switch vật lý. LACP không cộng băng thông của một phiên TCP đơn lẻ; nó phân phối nhiều flow qua các link thành viên. Hai đầu phải dùng cùng mode, hash và số lượng link.
vDS Health Check kiểm tra VLAN và MTU giữa cấu hình vDS với switch vật lý. Port Mirroring hỗ trợ phân tích gói tin; NetFlow hoặc IPFIX cung cấp thống kê flow. Các tính năng này cần được bật có kiểm soát vì có thể tạo thêm lưu lượng quản lý và dữ liệu nhạy cảm.
Private VLAN (PVLAN) có thể cô lập VM trong cùng một subnet theo mô hình promiscuous, community hoặc isolated. PVLAN chỉ phù hợp khi thiết kế mạng vật lý và yêu cầu cô lập đã được xác định rõ.
Khi tạo vDS, cần xác định trước số uplink, tên uplink, VLAN, MTU và cách ánh xạ vmnic. Một thay đổi sai trên vDS có thể ảnh hưởng đồng thời nhiều host.

5. Chính sách Security​

Security policy được cấu hình tại Port Group hoặc Distributed Port Group. Ba mục thường gặp là Promiscuous Mode, MAC Address Changes và Forged Transmits. Mặc định nên giữ chính sách chặt, chỉ mở rộng khi ứng dụng có yêu cầu cụ thể.

5.1 Nguyên tắc cấu hình Security​

· Để Reject theo mặc định trên mạng VM thông thường.
· Chỉ bật Accept tại Port Group riêng cho appliance cần quyền đặc biệt.
· Ghi rõ lý do, owner và thời hạn khi mở chính sách rộng hơn.
· Kiểm tra cả policy trên Port Group và policy ở cấp switch nếu có override.
· Không dùng Promiscuous Mode để khắc phục lỗi mạng thông thường.
Mở rộng Security policy có thể làm tăng nguy cơ nghe lén hoặc giả mạo frame. Vì vậy, thay đổi phải đi kèm kiểm tra event và tài liệu thiết kế.

5.2 Góc nhìn nâng cao về Security​

Promiscuous Mode, MAC Address Changes và Forged Transmits được đánh giá ở Port Group. Việc đặt Accept ở một lớp có thể vẫn bị giới hạn bởi policy hoặc cấu hình ở lớp khác. Khi appliance không hoạt động, cần kiểm tra đúng policy mà Port Group đang thực sự sử dụng.
Promiscuous Mode không phải giải pháp chung cho lỗi mất mạng. Nếu cần bắt gói, ưu tiên dùng một Port Group riêng, giới hạn VM được cấp quyền và tắt lại sau khi hoàn tất phân tích.
MAC Address Changes và Forged Transmits thường liên quan đến firewall ảo, load balancer, clustering hoặc cơ chế failover. Chỉ mở từng mục cần thiết; mở cả ba trên mạng sản xuất làm tăng bề mặt tấn công.

6. Chính sách Traffic Shaping​

Traffic Shaping kiểm soát tốc độ hoặc mức bùng phát của lưu lượng tại Port Group. Chính sách này hữu ích khi cần bảo vệ uplink, phân bổ băng thông giữa các nhóm VM hoặc tránh một workload chiếm toàn bộ đường truyền.

6.1 Các thông số chính​

6.2 Lưu ý khi đặt giới hạn​

· Đo băng thông thực tế trước khi đặt ngưỡng.
· Không đặt giới hạn thấp hơn nhu cầu của vMotion, backup hoặc ứng dụng quan trọng.
· Phân biệt giới hạn tại Port Group với giới hạn trên switch vật lý hoặc NIOC.
· Theo dõi packet drop, latency và throughput sau khi thay đổi.
· Đặt tên policy hoặc ghi chú để người khác hiểu lý do của giới hạn.
Traffic Shaping không làm tăng băng thông vật lý. Nếu uplink đã nghẽn, cần xem lại số lượng vmnic, thiết kế VLAN, NIC Teaming và năng lực switch vật lý.

6.3 Phân biệt Shaping, QoS và NIOC​

Traffic Shaping giới hạn lưu lượng tại Port Group. QoS trên switch vật lý đánh dấu hoặc xếp hàng frame theo lớp dịch vụ. NIOC phân bổ tài nguyên uplink ở vDS. Ba cơ chế có thể cùng tồn tại nhưng không thay thế nhau; cần xác định cơ chế nào chịu trách nhiệm cho từng loại traffic.
Ingress shaping có thể làm hạn chế lưu lượng đi vào Port Group; egress shaping kiểm soát lưu lượng rời Port Group. Khi thiết kế, ghi rõ chiều áp dụng và đo throughput ở cả hai phía để tránh hiểu sai kết quả.

7. Chính sách NIC Teaming và Failover​

NIC Teaming dùng nhiều uplink để tăng khả năng dự phòng và có thể phân phối lưu lượng. Hiệu quả thực tế phụ thuộc vào cách cấu hình ở cả vSphere và switch vật lý.

7.1 Các lựa chọn thường gặp​

7.2 Failover order​

· Active: uplink được sử dụng bình thường.
· Standby: uplink chờ khi uplink Active lỗi.
· Unused: uplink không tham gia Port Group.
· Notify Switches: thông báo thay đổi đường đi khi failover.
· Failback: quyết định có quay lại uplink ưu tiên sau khi phục hồi hay không.
Không được cấu hình IP hash ở vSphere nhưng để switch vật lý ở chế độ không có port channel. Hai phía phải dùng cùng một mô hình. Với Management Network, nên giữ một phương án truy cập dự phòng qua console hoặc iLO/iDRAC trước khi thay đổi uplink.

7.3 Cơ chế phát hiện lỗi uplink​

Link Status chỉ phát hiện lỗi vật lý mà NIC hoặc switch báo xuống. Beacon probing có thể phát hiện một số lỗi đường đi nhưng cần nhiều uplink và thiết kế phù hợp. Không dùng Beacon Probing để thay thế kiểm tra switch vật lý, VLAN và spanning tree.
Notify Switches gửi thông báo khi VM chuyển sang uplink khác để switch cập nhật bảng MAC nhanh hơn. Failback quyết định VM có quay về uplink ưu tiên khi đường truyền phục hồi hay không. Với mạng nhạy cảm, cần thử nghiệm thời gian gián đoạn trước khi bật failback tự động.
Một flow đơn lẻ thường chỉ đi qua một uplink. NIC Teaming cải thiện dự phòng và phân phối nhiều flow, nhưng không biến một kết nối TCP đơn thành tổng băng thông của mọi vmnic.

8. VMkernel Network và các loại lưu lượng​

VMkernel adapter phục vụ các dịch vụ của ESXi, không phải card mạng của VM. Mỗi loại traffic nên được xác định rõ VLAN, subnet, MTU và uplink.

Dùng chung một VMkernel cho nhiều loại traffic chỉ nên thực hiện khi hạ tầng nhỏ và đã đánh giá rõ băng thông, bảo mật và khả năng cô lập.

8.1 TCP/IP Stack, routing và multi-NIC​

Mỗi VMkernel adapter có thể dùng TCP/IP stack mặc định hoặc stack riêng như vMotion. Stack riêng giúp tách gateway và route cho các dịch vụ đặc thù. Không thay đổi gateway mặc định nếu chưa xác định rõ đường quản trị của ESXi.
Multi-NIC vMotion cho phép dùng nhiều VMkernel adapter cho vMotion. Tất cả adapter phải có cấu hình IP, VLAN, MTU và TCP/IP stack phù hợp; sau đó kiểm tra khả năng kết nối hai chiều giữa các host.
Jumbo Frame chỉ hoạt động khi MTU được đặt thống nhất từ VMkernel hoặc vNIC, vSwitch/vDS, vmnic, switch vật lý đến thiết bị đích. Ping nhỏ vẫn có thể thành công dù gói lớn bị phân mảnh hoặc loại bỏ; cần kiểm tra với kích thước gói phù hợp.

9. Thiết kế và quy trình cấu hình​

9.1 Chuẩn bị trước khi cấu hình​

1. Lập danh sách VLAN, subnet, gateway, MTU, Port Group và loại traffic.
2. Xác định vmnic nào nối vào switch vật lý nào; kiểm tra tốc độ và duplex.
3. Xác định Standard Switch hay Distributed Switch theo số host và yêu cầu tính năng.
4. Chuẩn bị cửa sổ thay đổi và đường truy cập console khi chỉnh Management Network.
5. Thống nhất tên vSwitch, vDS, Port Group, vmnic và VMkernel.

9.2 Quy trình cấu hình mẫu​

6. Tạo vSwitch hoặc vDS và gắn uplink.
7. Tạo Port Group, đặt VLAN ID và MTU.
8. Cấu hình Security, Traffic Shaping và NIC Teaming theo thiết kế.
9. Tạo hoặc chỉnh VMkernel adapter cho Management, vMotion, storage hoặc vSAN.
10. Kiểm tra kết nối giữa VM, ESXi, switch vật lý và gateway.
11. Thực hiện thử nghiệm failover từng uplink, ghi nhận thời gian gián đoạn và khôi phục.

9.3 Quy ước đặt tên​

vDS-Production
DPG-VM-VLAN20
DPG-Management-VLAN10
DPG-vMotion-VLAN30
vmk0-Management | vmk1-vMotion | vmk2-vSAN
Tên phải thể hiện chức năng và VLAN nhưng không nên quá dài. Quy ước ổn định giúp giảm nhầm lẫn trong vSphere Client, backup và xử lý sự cố.

10. Xử lý sự cố mạng​

10.1 Thứ tự kiểm tra​

12. Kiểm tra trạng thái link của vmnic và cổng switch vật lý.
13. Kiểm tra VM vNIC hoặc VMkernel adapter có gắn đúng Port Group.
14. Đối chiếu VLAN ID, trunk, native VLAN và gateway.
15. Kiểm tra MTU trên toàn bộ đường đi.
16. Đọc Tasks, Events, alarm và log ESXi sau thời điểm lỗi.
17. Thử từng uplink hoặc chuyển sang Port Group kiểm thử để khoanh vùng.

10.2 Công cụ kiểm tra trên ESXi​

Các lệnh chỉ dùng khi cần điều tra và phải tuân thủ quy trình truy cập host:
esxcli network nic list
esxcli network nic stats get -n vmnic0
esxcli network ip interface list
esxcli network ip interface ipv4 get
esxcli network vswitch standard list
esxcli network vswitch dvs vmware list
vmkping -I vmk1 <destination-ip>
vmkping -d -s 8972 -I vmk1 <destination-ip>
vmkping với kích thước lớn giúp kiểm tra MTU, nhưng chỉ dùng kích thước phù hợp với MTU dự kiến. Khi thu thập capture, có thể dùng vDS Port Mirroring hoặc công cụ phân tích trên switch vật lý; không bật capture kéo dài trên mạng sản xuất nếu chưa đánh giá tác động.

11. Checklist nghiệm thu và kết luận​

Checklist nghiệm thu​

· Port Group có tên, VLAN ID và MTU đúng thiết kế.
· Uplink được ánh xạ đúng vmnic; switch vật lý cho phép VLAN cần dùng.
· Security policy ở mức Reject mặc định, ngoại lệ có lý do rõ ràng.
· Traffic Shaping chỉ được bật khi có ngưỡng và mục tiêu cụ thể.
· NIC Teaming khớp với mô hình switch vật lý; đã thử nghiệm failover.
· VMkernel được gắn đúng dịch vụ và subnet.
· Đã kiểm tra VM-to-VM, VM-to-gateway, Management, vMotion và storage theo phạm vi sử dụng.
· Đã ghi lại cấu hình, owner và thời điểm thay đổi.

Kết luận​

Standard Switch phù hợp với host độc lập hoặc môi trường nhỏ vì cấu hình đơn giản và không phụ thuộc vCenter. Distributed Switch phù hợp với cluster và môi trường nhiều host vì cho phép quản lý Port Group, uplink và chính sách tập trung. Dù dùng loại switch nào, kết quả vẫn phụ thuộc vào sự nhất quán giữa VLAN, MTU, uplink và switch vật lý.
Security policy kiểm soát loại frame được phép, Traffic Shaping điều tiết băng thông, còn NIC Teaming cung cấp dự phòng và phân phối lưu lượng. Ba nhóm chính sách này cần được thiết kế cùng nhau, kiểm thử sau thay đổi và ghi lại trong tài liệu vận hành.